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La BSA | The Software Alliance (www.bsa.org)' est le principal organisme de défense et de 
promotion de l’industrie du logiciel auprès des administrations gouvernementales et sur le 
marché international. Ses membres comptent parmi les entreprises les plus innovantes au 
monde, à l'origine de solutions logicielles qui stimulent l'économie et améliorent la vie 
moderne. 


Basée à Washington, DC et présente dans plus de 30 pays, BSA est pionnière en matière de 
programmes de conformité qui encouragent l’utilisation légale de logiciels et plaide en faveur 
de politiques publiques à même de promouvoir l'innovation technologique et de favoriser la 
croissance économique numérique. 


Ce document reprend uniquement les questions auxquelles la BSA a fourni une réponse. 





1 Les members BSA incluent: Adobe, Akamai, Atlassian, Autodesk, Bentley Systems, Box, Cloudflare, 
CNC/Mastercam, DocuSign, Dropbox, IBM, Informatica, Intel, Intuit, MathWorks, McAfee, Microsoft, Okta, 
Oracle, PTC, Salesforce, ServiceNow, Siemens Industry Software Inc., Slack, Splunk, Trend Micro, Trimble 
Solutions Corporation, Twilio, and Workday. 
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REPONSES A LA CONSULTATION PUBLIQUE 


Axe 1 : Renforcer la souveraineté numérique française et européenne en 
favorisant l'émergence et l’adoption d’offres souveraines de Cloud 


Selon vous, dans quelle mesure la souveraineté numérique doit-elle être considérée à l'échelle 
européenne ou à l'échelle nationale? 

Le 4e Programme d'investissements d'avenir (PIAd) identifie à juste titre le Cloud comme un 
vecteur de transformation numérique, d'innovation et de compétitivité. Aujourd’hui, le Cloud 
est largement synonyme de gains de compétitivité et d'efficacité à travers tous les secteurs 
de l’économie. La technologie du Cloud permet aux start-ups, aux consommateurs, aux 
gouvernements ou aux petites entreprises d'accéder rapidement et efficacement à la 
technologie à moindre coût. 


Cependant, son adoption par les entreprises françaises reste limitée. Selon des données 
Eurostat, bien qu’en hausse par rapport à 2018, seulement 27% des entreprises françaises 
utilisent des services de Cloud en 2020, et ce principalement pour des services simples tels 
que les e-mails, le stockage et le logiciel de bureau.? Par ailleurs, environ 30 % des entreprises 
françaises numérisent leurs opérations et 16 % utilisent la big data pour analyser de grands 
volumes de données. II y a donc un enjeu réel à soutenir l'adoption de technologies basses 
comme le Cloud par les entreprises françaises afin de soutenir une transformation numérique 
complète et itérative. 


Dans le contexte du Cloud ‘entreprise’ (ou B2B) — c’est-à-dire de la fourniture de services 
Cloud pour des organisations et non des consommateurs — cette offre est centrée sur un 
modèle de partenariat contractuel. Les entreprises de services B2B et leurs clients négocient 
leurs relations dans le cadre de contrats et d'accords de licence afin de s'assurer qu'ils 
répondent au mieux aux besoins spécifiques de chacun. Les éditeurs de services B2B 
monétisent donc leurs services et non les données de leurs clients. De ce fait, les 
organisations clientes gardent le contrôle de leurs données et de leur utilisation. Les éditeurs 
de services B2B n'ont pas un accès illimité aux données stockées dans leur service de Cloud 
— peu importe leur type de service de Cloud — et agissent uniquement sur instructions de leurs 
clients. Une éventuelle réglementation devrait traiter les services de Cloud de la même 
manière que l'externalisation, en reconnaissant que le fournisseur de services de Cloud et 
l'organisation cliente partagent les responsabilités en matière de sécurité et que, par 
conséquent, le transfert des données et des plates-formes informatiques vers le Cloud ne 


2 Eurostat, Use of Cloud computing services in enterprises, 2020 
3 Commission Européenne, Digital Economy and Society Index Report 2020 - Integration of Digital 
Technology 
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transfère pas la responsabilité finale de la sécurité des données, des dispositifs, des 
utilisateurs et des réseaux. 


L'accès et l’utilisation de ces données sont donc réservés au bénéfice et à la finalité 
déterminée par ces mêmes clients. Ils s’opèrent dans un cadre français et européen législatif 
précis applicable aux prestataires de services Cloud, notamment sur la base du Règlement 
Général sur la Protection des Données (RGPD), de la Directive vie privée et communications 
électroniques (Directive ‘e-privacy’), de la Directive sur la sécurité des réseaux et des 
systèmes d'information dans l'Union (Directive NIS), du règlement relatif au libre flux des 
données à caractère non personnel, et du cadre réglementaire applicable en matière 
contractuelle. Ce corpus législatif garantit la transparence, le contrôle et la sécurité des 
données des utilisateurs de logiciels d'entreprise. Il est également soutenu par un système de 
normes et certifications en matière de gouvernance et d'audit qui sont autant de références 
(françaises, européennes et internationales) d’exigences de cybersécurité, confidentialité, 
résilience physique pour les fournisseurs de services Cloud.“ Il est important, à cet égard, que 
le futur « Cloud rule book >» annoncé par la Commission Européenne constitue une 
codification des règles existantes à droit constant afin d'assurer une stabilité du cadre 
réglementaire pour plus de sécurité juridique, de promouvoir la confiance légitime nécessaire 
pour faciliter l'accès aux technologies du Cloud et favoriser tant l'innovation que la 
dynamisation de l'écosystème français et européen. 


Au-delà du cadre législatif et normatif, la relation entre le fournisseur de service Cloud et son 
client doit être basée sur une relation de confiance, reposant sur l'application rigoureuse de 
ces règles ainsi que dans le respect des engagements contractuels, qu'ils soient liés à la 
qualité et fiabilité du service fournit ou à la gouvernance et à la protection des données 
concernées. 


A ce titre, l'existence de garanties quant à l'accès aux données dans le cadre des lois et 
règlements par les autorités publiques est essentielle pour contribuer à créer la confiance dans 
le Cloud. Il est fondamental que l'accès aux données par les autorités publiques soit encadré 
par des garanties adéquates pour assurer la confidentialité et la protection des données et 
des normes efficaces de cybersécurité afin que celles-ci puissent remplir leurs missions de 
protection de la sécurité des citoyens, de l'ordre public et des libertés publiques. 
L'harmonisation européenne et internationale est ici encore essentielle et l'adoption du 
règlement e-evidence ainsi que la négociation entre l’Union Européenne et les Etats-Unis sur 
l'accès aux données demeurent des étapes importantes. Les entreprises doivent également 
être en mesure de pouvoir, comme certaines le font déjà, prendre des mesures d'ordre 
juridique, technique ou opérationnel pour protéger les données en relation avec les demandes 


4 Par exemple ISO/IEC, SOC 2, ISAE ou encore le SecNumCloud en France. 
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gouvernementales, telles que les demandes des forces de l'ordre ou les autorités nationales 
de sécurité.” 


Dans ce contexte, une approche d'ouverture à la technologie du Cloud est la meilleure 
manière de faciliter et d'accélérer la transformation numérique des entreprises et du secteur 
public en France. Les entreprises françaises et européennes évoluent aujourd'hui dans un 
environnement connecté qui dépasse les frontières de l'UE : les flux de données 
internationaux et les échanges entre continents sont indispensables à l’utilisation des outils 
numériques tels que le Cloud, les outils d'analyse de données ou l'intelligence artificielle, et 
donc à la compétitivité des entreprises françaises et européennes. 


La stratégie Cloud aura toutes les chances d’être plus efficace si elle s'insère dans un 
écosystème européen et même international. En effet, l’ajout de critères et de contraintes 
spécifiques à l’échelle française risque d'aboutir à une fragmentation du secteur Cloud au 
niveau européen. Il convient de travailler à harmoniser ces critères au niveau européen, pour 
soutenir le développement et l'adoption volontaire d’un label européen unique auquel travaille 
actuellement l'ENISAS, où tout au moins en passant en première instance par une 
reconnaissance mutuelle de labels existants tels le SecNumCloud de l'ANSSI ou encore le C5 
de BSI. 


Par ailleurs, de nombreuses initiatives de nature législative ou industrielle impliquant le Cloud 
computing émergent au niveau européen ou ont un caractère européen, tel que le projet GAIA- 
X, l’Acte sur la gouvernance des données (Data Governance Act), la Stratégie Européenne 
pour les Données, la législation sur les services numériques (Digital Services Act) ou encore 
la révision de la Directive sur la sécurité des réseaux et des systèmes d'information (Directive 
NIS). Il est dès lors indispensable que ces efforts soient synchronisés au niveau européen, 
afin d'éviter une fragmentation du Marche Unique Numérique. 


Si la France et l'Europe veulent s'assurer une autonomie du point de vue technologique, il 
sera néanmoins primordial que l'ensemble des entreprises qui permettent de servir cet objectif 
soient associées à la réflexion, quelle que soit leur nationalité, et ce en vertu des règles de 
commerce international et dans le respect des principes de fonctionnement du marché unique 
européen. C'est selon nous la meilleure manière de trouver un juste équilibre et de créer un 
cercle vertueux pour tous les acteurs, et particulièrement les entreprises françaises et 
européennes, et de s’assurer une plus grande diversité dans les offres de Cloud (qui seront 
interopérables et basées sur des standards reconnus par le secteur au niveau international). 


5 Voir par exemple les Recommandations BSA sur les mesures additionnelles applicables aux transferts de 
données par clauses contractuelles types (disponibles en anglais). 
6 Voir Soumission BSA sur le European Union Cybersecurity Certification Scheme on Cloud Services 


(EUCS) 
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La souveraineté numérique — dont la définition demeure incertaine et varie d’un Etat membre 
de l’Union Européenne à l’autre - doit et peut se concevoir comme une approche ouverte, qui 
permettra à la fois de renforcer la confiance dans les outils numériques, de faciliter les 
échanges de données, et de bénéficier au maximum des avantages de l'innovation. Il est 
crucial pour le développement numérique de la France que les organisations françaises aient 
à la fois le choix et la capacité d'accéder aux technologies dont elles ont besoin, 
indépendamment du pays où ces technologies sont développées, à la condition fondamentale 
qu'elles répondent au cadre législatif et aux valeurs européennes. 


Identifiez-vous des actions complémentaires qui favoriseraient l'émergence et l’adoption 
d'offres souveraines de Cloud ? 

Un des atouts du Cloud est de faciliter l’utilisation et l'analyse de données pour les clients pour 
leur propres besoins opérationnels, commerciaux et d'innovation. Les données stimulent 
l'innovation et la croissance, permettent de créer de nouveaux emplois, d'accroître la 
productivité des entreprises, de stimuler la qualité et d'améliorer la production.” L'exploitation 
de cet atout repose sur deux axes primordiaux : d’une part, la facilitation du partage de 
données, et d'autre part, la libre circulation transfrontalière des données et l'accès 
transfrontalier aux technologies les plus innovantes. 


Au-delà de la question soulevée ici, nous considérons qu'il convient avant tout de concentrer 
les efforts sur ces deux axes pour que le Cloud bénéficie pleinement à l'économie française. 


En ce qui concerne la facilitation du partage de données, les politiques publiques doivent 
favoriser le développement, la disponibilité et l'adoption d'outils et de bonnes pratiques qui 
rendent plus facile et moins coûteux le partage des données, tout en respectant les attentes 
en matière de vie privée et de confidentialité. Les bénéfices de l'open data sont transversaux 
à tous les secteurs et organisations, et la Loi pour une République numérique de 2016 a fait 
de la France un précurseur dans ce domaine. Dans certains secteurs, des systèmes de 
partage de données pilotés par l'industrie sont déjà en place (par exemple dans l'industrie 
automobile, où les constructeurs automobiles ont mis en place des mécanismes et des normes 
de partage, avec succès), sur la base de contrats commerciaux entre entreprises. Ces 
mécanismes de partage via des accords inter-entreprises doivent être préservés et 
encouragés par la législation. 


Les flux de données permettent aux organisations d'avoir accès, de n'importe où, aux 
informations, technologies et services dont elles ont besoin. Les trois-quarts de la valeur des 


7 BSA, Open Data Agenda 
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transferts de données reviennent à des industries comme l'agriculture, logistique et l’industrie 
manufacturière.8 Ces flux permettent par ailleurs de renforcer certains objectifs clés pour les 
fournisseurs de services tels que la cybersécurité, en permettant notamment la redondance 
et l'identification de menaces en temps réel, partout dans le monde. Néanmoins, de nombreux 
pays cherchent à imposer des restrictions injustifiées ou disproportionnées à la circulation 
transfrontalière des données - en le justifiant souvent par des raisons apparentes de 
confidentialité et de sécurité - au détriment des opportunités ouvertes par la transformation 
numérique et de la compétitivité. En réalité, il est acquis que la manière dont les données sont 
protégées est beaucoup plus importante pour la vie privée et la sécurité, que leur lieu de 
stockage. Par ailleurs, restreindre la circulation des données (via des exigences explicites ou 
implicites, directes ou indirectes) ajoute inévitablement des coûts et des incertitudes qui 
impactent les entreprises et les investissements, et au final freinent l'innovation (notamment 
la capacité des entreprises à utiliser d’autres technologies telles que l'IA). 


x 


Axe 2 : Contribuer à la compétitivité de l’offre française de Cloud en 
soutenant le développement de solutions dans les secteurs du Cloud à forte 
valeur ajoutée 


Quels seront, selon vous, les évolutions majeures et les principaux relais de croissance du 
Cloud dans les années à venir ? Si possible, motivez votre réponse. 

En termes d'évolution, les investissements du secteur privé dans le Cloud (laaS, PaaS & 
SaaS) atteindront 7.8 milliards d'euros en France en 2021, en comparaison à 24,5 milliards 
de d'euros en Europe occidentale (hors Royaume-Uni et en Allemagne) et à plus de 154 
milliards d'euros aux États-Unis. Ces dépenses en France représentent une augmentation de 
19,7% par rapport à 2020. A titre de comparaison, la croissance des dépenses sera de 21% 
en Europe occidentale et de 17% aux États-Unis. 


En France, les dépenses Cloud devraient représenter 15% des dépenses informatiques 
totales (matériel, logiciels et services) en 2021, soit une hausse de deux points par rapport à 
2020. Pour 2024, les dépenses dans le Cloud devraient représenter près de 22% des 
dépenses informatiques totales, soit une augmentation de 7% en trois ans. A titre de 
comparaison, les dépenses dans le Cloud représentent 17% des dépenses informatiques 
totales en Europe de l'Ouest en 2021 et 24% aux États-Unis. 


Verrous technologiques 


g McKinsey Global Institute, Internet matters: The Net's sweeping impact on growth, jobs, and prosperity 
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e Quels sont les principaux verrous technologiques à ces évolutions notamment au 
niveau français ? 

Les organisations doivent être en mesure d'adopter des services de Cloud qui répondent à 
leurs besoins. Alors que la priorité semble être sur le passage à des solutions laas, la réalité 
est qu'une organisation a besoin d'un mélange de solutions Cloud provenant de différents 
fournisseurs, montrant donc que les technologies qui prennent en charge l'intégration et le 
multi-Cloud seraient utiles. L'existence de normes communes en matière de confidentialité, 
de cybersécurité, et de systèmes de certification fondés sur des normes internationales 
contribuera à lever les obstacles au choix des fournisseurs, à la combinaison des services de 
plusieurs fournisseurs et, le cas échéant, à l'offre de services en nuage. 


Verrous non technologiques 


e Quels sont les principaux verrous non technologiques à ces évolutions notamment au 
niveau français ? 

Comme développé en réponse à la question sur les actions complémentaires, les flux de 
données sont essentiellement au développement et à l’utilisation du Cloud. Restreindre la 
circulation des données (via des exigences strictes ou implicites) crée des coûts et des 
incertitudes qui impactent les entreprises et les investissements. Par exemple, ces mesures 
peuvent obliger à se doter de nouvelles installations locales, multipliant les infrastructures et 
les coûts d'exploitation; elles peuvent décourager les investissements dû aux contraintes 
supplémentaires qu'elles engendrent; elles peuvent également créer des conflits juridiques, 
les règles des différents pays pouvant avoir des exigences similaires mais contradictoires sur 
la circulation internationale des données.9 


e Identifiez-vous des actions qui permettraient de lever ces verrous ? 


Les politiques de localisation des données peuvent notamment impacter la capacité d'une 
organisation à utiliser la meilleure solution en limitant le nombre de fournisseurs disponibles 
et en limitant sa géographie opérationnelle. Une organisation devrait être en mesure de faire 
ses propres jugements, d'analyser les risques et de prendre des décisions d'achat en fonction 
de ses besoins, qui nécessiteront de plus en plus une combinaison de services provenant de 
différents fournisseurs. Avec une telle hétérogénéité, le changement de service de Cloud et la 
portabilité sont loin d’être un exercice trivial. Le problème du verrouillage des fournisseurs doit 
être pris au sérieux, et l'adoption de normes y contribuent. 


Par ailleurs, les organisations doivent être conscientes que le Cloud n'est pas une simple 
externalisation traditionnelle et qu'une organisation aura des responsabilités partagées avec 


? Commission Européenne, Submission on draft Personal Data Protection Bill of India 2018 by the 
Directorate-General for Justice & Consumers to the Ministry of Electronics and Information Technology 


(MeitY) 
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un fournisseur de service de Cloud en matière de gestion, d'administration, de confidentialité 
et de sécurité. Les responsabilités entre une organisation et un fournisseur de service de 
Cloud varient en fonction du type de service de Cloud. Les programmes de formation et 
d'éducation sont donc essentiels. 


Axe 3 : Encourager l’usage et l’adoption des technologies Cloud 


Mutualisation de données 


Dans quelle mesure considérez-vous que la création d'espace de données mutualisant les 
données de filières industrielles permettra d'accroître le recours au Cloud, et si oui, sous 
quelles conditions ? 
e Afin d'encourager la création et l'usage de ces espaces de données, quelles actions 
la puissance publique doit-elle mettre en œuvre ? 
e Identifiez-vous d’autres axes permettant de favoriser le développement d’une 
économie de la donnée qui puisse bénéficier à la filière française du Cloud ? 


Comme indiqué plus haut, les données sont un vecteur d'innovation et de croissance pour les 
entreprises de toutes tailles et à travers tous secteurs. Les données générées par les pouvoirs 
publics peuvent être un puissant moteur de création d'emplois et de croissance économique 
en encourageant l'ouverture des données publiques. Les bénéfices de l'open data sont 
transversaux à tous les secteurs et organisations. Par exemple, un système d'IA conçu pour 
améliorer l'efficacité de la chaîne d'approvisionnement pourrait s'appuyer sur des données 
gouvernementales concernant l'historique des flux de circulation et les tendances 
météorologiques pour recommander des itinéraires de livraison qui minimisent la congestion, 
réduisent les émissions et améliorent la sécurité publique. Pour bénéficier de l'ouverture des 
données publiques, il faut donc développer l’interopérabilité et promouvoir des engagements 
dans les accords commerciaux. 


Le partage des données offre des avantages considérables dans tous les secteurs 
économiques, sur l'ensemble des chaînes de valeur, mais se heurte à un cadre réglementaire 
instable : en effet, 64 % des chefs d'entreprise jugent aujourd’hui que le manque de certitude 
réglementaire a un effet dissuasif sur le partage volontaire des données. La promotion du 
partage volontaire des données industrielles et du secteur public devrait donc être un objectif 
pour maximiser les bénéfices de l’open data.10 Les initiatives existantes mettent en évidence 
les avantages de lopen data, en permettant par exemple d'améliorer la transparence sur 
l’action publique de l'Etat, de suivre les progrès dans de nombreux secteurs (agriculture, 


10 MIT Technology Review, The global Al agenda 
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transports, tourisme, transition écologique, etc.), et depuis récemment, de s'informer sur les 
enjeux liés au COVID-19 (vaccination, indicateurs de suivi, etc.).11 


La récente proposition de la Commission Européenne sur la gouvernance des données (DGA) 
promeut notamment la création d'espaces de données sectoriels. En ce sens, BSA soutient 
la mise en place de telles politiques pour les données, via un cadre ouvert permettant à 
l'ensemble de l’économie numérique, des entreprises et du secteur public de bénéficier des 
avantages de la donnée, y compris les services de Cloud. 


A l'avenir, les politiques publiques doivent favoriser le développement, la disponibilité et 
l'adoption d'outils et de bonnes pratiques qui rendent plus facile et moins coûteux le partage 
des données, tout en respectant les attentes en matière de vie privée et de confidentialité. 


Axe 4 : Soutenir le verdissement du Cloud et des datacenters (matériel 
énergétiquement efficient, nouvelles architectures de stockage et de calcul, 
etc...) 


Citez des pistes de réduction de l'empreinte environnementale du Cloud. 


Un levier important reste le renforcement de l'efficacité énergétique des infrastructures, 
notamment des data centers, via la réduction de la consommation d'énergie (renouvellement 
des infrastructures, matériels informatiques, optimisation du refroidissement...) et 
l’approvisionnement en énergies renouvelables. De nombreuses entreprises de Cloud ont 
pris des engagements européens ou mondiaux sur ces sujets, qu'il faut encourager. 


Quels types de dispositifs en faveur du verdissement du Cloud vous semblent les plus 
pertinents et pour quelles raisons (appels à projet, mesures incitatives et promotions par les 
pouvoirs publics, obligations réglementaires, etc) ? 

Les mesures incitatives peuvent offrir un réel intérêt en faveur du verdissement du Cloud. Pour 
plus d'impact, reconnaître et encourager les acteurs dans leurs engagements européens voire 
internationaux — plutôt que de les contraindre à une gestion administrativement lourde de 
différentes obligations réglementaires pays par pays — serait aussi bénéfique. 


Formation et compétences 


Identifiez-vous des besoins complémentaires en termes de formation initiale, formation 
continue, formation interdisciplinaire 


11 Voir des exemples de réutilisation sur https:/www.data.gouv.fr/ 
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Les professions liées à l’IA ont connu un développement très rapide avec une multiplication 
par 16 des postes de professionnels de l'IA entre 2016 et 2020. Le niveau d'éducation de ces 
professionnels est particulièrement élevé en France avec 67% d’entre eux ayant un niveau de 
master et moins de 5% ont un diplôme sanctionnant deux ans d'étude ou sont issus de 
l'enseignement secondaire. Cette tendance particulière au sein de l'OCDE de concentrer notre 
formation sur le master (les Etats-Unis et le Royaume-Uni sont plus en avance que nous sur 
ce plan) en négligeant les licences et les certifications est une faiblesse de notre modèle. Il 
est nécessaire de généraliser la formation continue et intermédiaire pour former des 
techniciens du Cloud et de PIA. 


Standardisation, open-source et propriété intellectuelle 


Dans quelle mesure considérez-vous que l'établissement de standards partagés par les 
acteurs du Cloud, notamment européens, permettrait le développement de l’industrie 
française du Cloud et renforcerait la souveraineté numérique française et européenne ? 


e Le cas échéant, par quel biais devraient être portés ces standards ? 
e Comment la France pourrait-elle contribuer de manière efficace aux standards 
internationaux sur le Cloud ? 
Les standards sont des outils essentiels pour établir des normes créant des pratiques fiables 
telles que celles liées aux systèmes de gestion de l'information, pour permettre 
l'interopérabilité et la portabilité, et pour le développement des logiciels. 


Le système international et européen de standardisation est idéal pour l'élaboration de normes 
liées aux entreprises et aux processus. Les standards techniques sont mieux développés dans 
des environnements plus agiles, à condition que ces environnements fonctionnent de manière 
ouverte et transparente, avec une gouvernance définie et des politiques de droit de la propriété 
intellectuelle, par exemple comme défini à l'annexe Il du règlement 1025/201212 relatif à la 
normalisation européenne. A cet égard, le travail engagé dans le cadre du projet GAIA-X est 
intéressant mais gagnerait à une plus grande transparence des procédures pour s'assurer 
qu'émerge un véritable consensus entre les acteurs de l'écosystème. 


La France et les autres pays européens devraient chercher à jouer un rôle de leader plus 
important dans les organismes existants. 


For more information, please contact: 
Isabelle Roccia 
isabeller@bsa.org 





12 https://eur-lex.europa.eu/legal-content/FR/TXT/HTML/?uri=CELEX:32012R1025&from=FR 
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